<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Oct 23, 2014 at 2:31 PM, Paul Vixie <span dir="ltr"><<a href="mailto:paul@redbarn.org" target="_blank">paul@redbarn.org</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">

<div bgcolor="#FFFFFF" text="#000000"><br>
<br>
<blockquote style="border:0px none" type="cite">
  <div style="margin:30px 25px 10px 25px"><div style="display:table;width:100%;border-top:1px solid #edeef0;padding-top:5px">   <div style="display:table-cell;vertical-align:middle;padding-right:6px"><img src="cid:part1.07060107.02020103@redbarn.org" name="1493e477921bd19d_compose-unknown-contact.jpg" height="25px" width="25px"></div>   <div style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
        <a href="mailto:phill@hallambaker.com" style="color:#737f92!important;padding-right:6px;font-weight:bold;text-decoration:none!important" target="_blank">Phillip Hallam-Baker</a></div>   <div style="display:table-cell;white-space:nowrap;vertical-align:middle">   
  <font color="#9FA2A5"><span style="padding-left:6px">Thursday, October
 23, 2014 11:25 AM</span></font></div></div></div>
  <div style="color:#888888;margin-left:24px;margin-right:24px"><div dir="ltr"><br><div class="gmail_extra"><br>...<span class=""><div class="gmail_quote"><span dir="ltr"></span><div>Bottom
 line is that if you try to use port 53 for client-recursive you will 
find yourself under MITM attack much of the time. And its not even all 
malicious. A lot of ISPs are MITM the DNS traffic so they don't get one 
of the big TLDs onto their case for allowing their customers to do DDoS.
 <br>
</div></div></span></div></div></div>
</blockquote>
<br>
my bottom line is related and similar: rdns is hard, and can't scale to 
the actual internet access edge, currently two billion or more devices, 
and growing; we need a well guarded path (like HTTPS without any X.509 
CA intermediaries telling us what key to trust -- SSL keying material 
has to be exchanged in some more-trustful way), to get from large 
numbers of stubs to moderate numbers of recursives.<br></div></blockquote><div><br></div><div>My view precisely. Except that I am prepared to make the default mechanism to be to use of SSL and an EV cert to jump start the process of making the initial contact between the relying party and the resolution service. With the option of manual keying if you choose.</div><div><br></div><div><br></div><div>So the very first time you bought your very first a machine and started it up, you would choose your DNS resolution provider, e.g. <a href="http://dnsbycomodo.com">dnsbycomodo.com</a>. If you are using a public resolver, you give it the DNS name of the service provider and it uses legacy DHCP DNS and the WebPKI (preferably an EV cert) to establish first contact over TLS. Once the service credentials are exchanged the binding between that machine and the DNS service selected can be permanent.</div><div><br></div><div>If you are using a private resolver then you are probably not providing open service to anyone on the net. You are going to only want to provide access to people who have been issued accounts. So the binding mechanism is likely to involve some sort of account and PIN code activation or confirmation of the access request from another device. </div><div><br></div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div bgcolor="#FFFFFF" text="#000000">
otherwise the DNS data path leading to the edge will continue to look 
like, and be treated like, raw meat by the thin margin internet access 
providers looking to plump up their revenue by selling ads one way and 
telemetry the other way.</div></blockquote><div><br></div><div>Since any new protocol is going to be encrypted there is no reason to use the same port or indeed a well known port for discovery.</div><div><br></div><div>Looking ahead to IPv6, the large address space offers a lot of options for DDoS mitigation </div><div> </div></div></div></div>